下一代防火墙，即 Next Generation Firewall，简称 NG Firewall，是一款可以全面应对应用层威胁的高性能防火墙。通过深入洞察网络流量中的用户、应用和内容，并借助全新的高性能单路径异构并行处理引擎，NGFW 能够为用户提供有效的应用层一体化安全防护，帮助用户安全地开展业务并简化用户的网络安全架构。

　　2009 年，著名咨询机构 Gartner 介绍为应对当前与未来新一代的网络安全威胁认为防火墙必需要再一次升级为“下一代防火墙”。第一代防火墙已基本无法探测到利用僵尸网络作为传输方法的威胁。由于采用的是基于服务的架构与 Web2.0 使用的普及，更多的通讯量都只是通过少数几个端口及采用有限的几个协议进行，这也就意味着基于端口/协议类安全策略的关联性与效率都越来越低。深层数据包检查入侵防御系统(IPS)可根据已知攻击对操作系统与漏失部署补丁的软件进行检查，但却不能有效的识别与阻止应用程序的滥用，更不用说对于应用程序中的具体特性的保护了。

　　Gartner 将网络防火墙定义为在线安全控制措施，即：可实时在各受信级网络间执行网络安全策略。Gartner 使用“下一代防火墙”这一术语来说明升级防火墙的必要性，以应对业务程序使用 IT 的方法以及针对业务系统所发起的攻击方法所发生的改变。

　　属性

　　下一代防火墙需具有下列最低属性：

　　·支持在线 BITW(线缆中的块)配置，同时不会干扰网络运行。

　　·可作为网络流量检测与网络安全策略执行的平台，并具有下列最低特性：

　　1)标准的第一代防火墙功能：具有数据包过滤、网络地址转换(NAT)、协议状态检查以及 VPN 功能等。

　　2)集成式而非托管式网络入侵防御：支持基于漏洞的签名与基于威胁的签名。IPS 与防火墙间的协作所获得的性能要远高于部件的叠加，如：提供推荐防火墙规则，以阻止持续某一载入 IPS 及有害流量的地址。这就证明，在下一代防火墙中，互相关联作用的是防火墙而非由操作人员在控制台制定与执行各种解决方案。高质量的集成式 IPS 引擎与签名也是下一代防火墙的主要特性。所谓集成可将诸多特性集合在一起，如：根据针对注入恶意软件网站的 IPS 检测向防火墙提供推荐阻止的地址。

　　3)业务识别与全栈可视性：采用非端口与协议 vs 仅端口、协议与服务的方式，识别应用程序并在应用层执行网络安全策略。范例中包括允许使用 Skype 但禁用 Skype 内部共享或一直阻止 GoToMyPC。

　　4)超级智能的防火墙: 可收集防火墙外的各类信息，用于改进阻止决策，或作为优化阻止规则的基础。范例中还包括利用目录集成来强化根据用户身份实施的阻止或根据地址编制黑名单与白名单。

　　·支持新信息流与新技术的集成路径升级，以应对未来出现的各种威胁。

　　处理流程

　　一体化引擎数据包处理流程大致分为以下几个阶段：

　　数据包入站处理阶段

　　入站主要完成数据包的接收及 L2-L4 层的数据包解析过程，并且根据解析结果决定是否需要进入防火墙安全策略处理流程，否则该数据包就会被丢弃。在这个过程中还会判断是否经过 VPN 数据加密，如果是，则会先进行解密后再做进一步解析。

　　主引擎处理阶段

　　主引擎处理大致会经历三个过程：防火墙策略匹配及创建会话、应用识别、内容检测。

　　创建会话信息

　　当数据包进入主引擎后，首先会进行会话查找，看是否存在该数据包相关的会话。如果存在，则会依据已经设定的防火墙策略进行匹配和对应。否则就需要创建会话。具体步骤简述为：进行转发相关的信息查找;而后进行 NAT 相关的策略信息查找;最后进行防火墙的策略查找，检查策略是否允许。如果允许则按照之前的策略信息建立对应的会话，如果不允许则丢弃该数据包。

　　应用识别

　　数据包进行完初始的防火墙安全策略匹配并创建对应会话信息后，会进行应用识别检测和处理，如果该应用为已经可识别的应用，则对此应用进行识别和标记并直接进入下一个处理流程。如果该应用为未识别应用，则需要进行应用识别子流程，对应用进行特征匹配，协议解码，行为分析等处理从而标记该应用。应用标记完成后，会查找对应的应用安全策略，如果策略允许则准备下一阶段流程;如果策略不允许，则直接丢弃。

　　内容检测

　　主引擎工作的最后一个流程为内容检测流程，主要是需要对数据包进行深层次的协议解码、内容解析、模式匹配等操作，实现对数据包内容的完全解析;然后通过查找相对应的内容安全策略进行匹配，最后依据安全策略执行诸如：丢弃、报警、记录日志等动作。

　　数据包出站处理阶段

　　当数据包经过内容检测模块后，会进入出站处理流程。首先系统会路由等信息查找，然后执行 QOS，IP 数据包分片的操作，如果该数据走 VPN 通道的话，还需要通过 VPN 加密，最后进行数据转发。

　　与统一策略的关系

　　统一策略实际上是通过同一套安全策略将处于不同层级的安全模块有效地整合在一起，在策略匹配顺序及层次上实现系统智能匹配，其主要的目的是为了提供更好的可用性。举个例子：有些产品 HTTP 的检测，URL 过滤是通过代理模块做的，而其他协议的入侵检测是用另外的引擎。 用户必须明白这些模块间的依赖关系，分别做出正确的购置才能达到需要的功能，而统一策略可以有效的解决上述问题。

　　应用

　　下一代防火墙的执行范例包括阻止与针对细粒度网络安全策略违规情况发出警报，如：使用 Web 邮件、anonymizer、端到端或计算机远程控制等。仅仅根据目的地 IP 地址阻止对此类服务的已知源访问再也无法达到安全要求。细粒度策略会要求仅阻止发向其它允许目的地的部分类型的应用通讯，并利用重新导向功能根据明确的黑名单规则使其无法实现该通讯。这就意味着，即使有些应用程序设计可避开检测或采用 SSL 加密，下一代防火墙依然可识别并阻止此类程序。而业务识别的另外一项优点还包括带宽控制，例：因为拒绝了无用或不允许进入的端到端流量，从而大幅降低了带宽的耗用。

　　仅有不到 1%的互联网连接采用了下一代防火墙保护。但是随着下一代网络的来临，下一代防火墙的应用已然是不可抗拒的趋势，有理由相信到 2014 年年末使用这一产品进行保护的比例将上升至 35%，同时，其中将有 60%都为重新购买下一代防火墙。

　　大型企业都将随着正常的防火墙与 IPS 更新循环的到来逐渐采用下一代防火墙代替其现有的防火墙，或因带宽需求的增高或遭受了攻击而进行防火墙升级。许多防火墙与 IPS 供应商都已升级了其产品，以提供业务识别与部分下一代防火墙特性，且有许多新兴公司都十分关注下一代防火墙功能。Gartner 的研究报告说明，认为随着威胁情况的变化以及业务与 IT 程序的改变都促使网络安全经理在其下一轮防火墙/IPS 更新循环中寻求具有下一代防火墙功能的产品。而下一代防火墙的供应商们成功占有市场的关键则在于需要证明第一代防火墙与 IPS 特性既可与当前的第一代功能相匹配，又能同时兼具下一代防火墙功能，或具有一定价格优势。

　　复杂环境下网络安全管理的窘境

　　随着网络安全需求不断深入，大量政府、金融、大企业等用户将网络划分了更为细致的安全区域，并在各安全区域的边界处部署下一代防火墙设备。对于所有的网络管理者来说，安全设备数量的不断激增无疑增加了管理上的成本，甚至成为日常安全运维工作的负担，对网络安全管理起着消极的反作用。对于大型网络而言，网络管理者往往需要在每一台安全设备上逐一部署安全策略、安全防护规则等，并且在日常的维护中，还要逐一的对设备进行升级等操作，类似重复的工作将耗费大量的时间，同时大量人工操作势必将带来误配置的风险。

　　对于高风险、大流量、多业务的复杂网络环境而言，全网部署的下一代防火墙设备工作在不同的安全区域，各自为战，为了进行有效的安全管理，管理者往往要单独监控每一台设备的运行状态、流量情况以及威胁状况等，对于绝大多数人力资源并不充裕的信息部门，这无疑又是一项效率低、难度大的工作，监控到的信息往往由于实时性差，易疏漏等问题，对全网安全性的提升并无促进作用。

　　安全管理应面向风险而非单纯的安全事件响应，网络安全同样遵循这样的方向和趋势，而如何及时预见风险，以及在安全事件发生后如何快速溯源并采取响应措施，是摆在每一位网络管理者面前的难题。专家认为，基于大数据挖掘技术无疑可以帮助管理者更加快速的发现网络中的异常情况，进而尽早的确认威胁并采取干预措施，实现主动防御。而此方案实现的前提，则需具备对数据的收集集中能力以及智能分析能力。

　　为什么要识别应用

　　随着以 WEB2.0 为代表的社区化网络时代的到来，互联网进入了以论坛、博客、社交、视频、P2P 分享等应用为代表的下一代互联网时代，用户不再是单向的信息接受者，更是以 WEB 应用为媒介的内容发布者和参与者，在这种趋势下，越来越多的应用呈现出 WEB 化，据调查显示超过 90%的网络应用运行于 HTTP 协议的 80 和 443 端口，大量应用可以进行端口复用和 IP 地址修改。

　　然而，由于传统的防火墙的基本原理是根据 IP 地址/端口号或协议标识符识别和分类网络流量，并执行相关的策略。所以对于 WEB2.0 应用来说，传统防火墙看到的所有基于浏览器的应用程序的网络流量是完全一样的，无法区分各种应用程序，更无法实施策略来区分哪些是不当的、不需要的或不适当的程序，或者允许这些应用程序。如果通过这些端口屏蔽相关的流量或者协议，会导致阻止所有基于 web 的流量，其中包括合法商业用途的内容和服务。即便是对授权通过的流量也会因为不能细粒度的准确分辨应用，而使针对应用的入侵攻击或病毒传播趁虚而入，使用户私有网络完全暴露于广域网威胁攻击之中。

　　综上所述，在新一代网络技术发展和新型应用威胁不断涌现的现有环境下，对网络流量进行全面、智能、多维的应用识别需求已迫在眉睫，也必将成为下一代防火墙所必须具备的基本和核心理念之一。

　　全面、多维的识别应用

　　每一种网络应用都应具备多方面的属性和特质，比如商业属性、风险属性、资源属性、技术属性等等，只有从各个角度多维、立体的去识别一个应用才会更加全面和准确。举例来说，从商业属性来讲，可以是 ERP/CRM 类、数据库类、办公自动化类或系统升级类应用;从风险属性来讲，可以是 1 至 5 级不等的风险级别分类，风险级别越高的应用(如 QQ/MSN 文件传输等)其可能带来的恶意软件入侵、资产泄密的可能性就越高;从资源属性来讲，可以是容易消耗带宽类、容易误操作类或易规避类的应用等;而从技术属性来讲，又可以是 P2P 类、客户端/服务器类或是基于浏览器类的应用等。

　　对应用的多维、立体识别不仅是下一代防火墙做到全面、准确识别应用的必须要求，更是辅助用户管理应用、制定应用相关的控制和安全策略的关键手段，从而将用户从晦涩难懂的技术语言抽离出来，转而采用用户更关心和可以理解的语言去分类和解释应用，方便其做出正确的控制和攻防决断。下一代防火墙必须也应该要做到这一点，一种重要的实现手段就是—应用过滤器。

　　应用过滤器的关键特点是提供给用户一种工具，让用户通过易于理解的属性语言去多维度的过滤和筛选应用，经过筛选过滤后得到的所有应用形成一个应用集，用户可以对此应用集针对性的进行统一的访问控制或安全管理。举例来说，作为边界安全设备，用户希望在允许内网用户与外网进行必要的邮件、IM 即时通信、网络会议通信的同时，能够对其中的中、高级风险类应用进行安全扫描和防护，保证通信安全，杜绝威胁入侵。要做到这点用户只要通过应用过滤器，在商业属性维度给出选择，这里选择协作类应用(包括邮件、IM 通信、网络会议、社交网络、论坛贴吧等应用)，再在风险属性维度给出选择，这里可选择 3 级以上风险等级，应用过滤器会根据选择过滤、筛选出符合维度要求的所有应用(这里包括雅虎 mail、QQ 邮箱、MSN 聊天、WebEx 会议、人人网论坛等几十个应用)，并以分类页表的形式呈现给用户，用户还可以通过点击应用名称查看每个应用的详细描述信息。接下来在一体化安全策略中，用户在指定好 IP、安全区、时间、用户等基本控制条件，以及指定好 IPS、防病毒、URL 过滤、内容过滤等安全扫描条件后，只要选定刚才的应用过滤器，即可对所有内外网协作且高风险类应用进行全天 24 小时的安全扫描和防护，当发现攻击威胁时及时阻断并审计记录，保障用户的应用安全无忧。

　　识别未知应用

　　社区化网络的发展，缩短了世界各地用户经验交流和合作的时间与空间，应用数量和种类及相关的网络威胁都在日新月异的增长和发展着。面对来自世界各地、随时随地涌现的新类型、新应用，任何一个安全厂商或机构都无法第一时间毫无遗漏的全部涵盖和一网打尽，下一代防火墙必须提供一种机制，去第一时间识别和控制应用，保障用户网络每一秒都不会暴露在网络威胁之下。这就要求其必须要具备应用自定义的能力。

　　所谓应用自定义，就是以动态的方式允许用户对某种/某些非通用化、用户私有的无法识别的应用进行特征化的描述，系统学习并记忆这种描述，并在之后的网络通信中去智能的分析和匹配此种特征，从而将其识别出来，实现将应用由未知转化为已知。这种机制免去了传统以往为增加应用而重做的软件引擎、识别库版本开发、定制、上线、升级等大量工作，节省了大量宝贵时间，第一时间保障用户网络安全。

　　下一代防火墙的应用自定义应该包括维度归类和特征码指定两部分。维度归类将自定义出的应用如同其它已有应用一样从多维度进行分类划分，如该应用属于哪种商业类型、何种资源属性、怎样的风险级别等等，与应用过滤器形成完美配合。同时通过特征码，指定出应用在包长度、服务端口、连接方式、甚至于特征字符串/数字串等等方面的数据特征，多种方式灵活组合，并可依需要无限度扩展，涵盖了学习、辨识一个新应用的所有特征因素，从而第一时间让所有已有的或未来将有的未知应用无处遁形，完全掌握于控制之中。

　　全国人大代表、中国电子科技集团公司总经理熊群力向记者透露，我国自主开发的全新一代国产工业防火墙即将推出，将为国内工业用户提供工业控制信息安全“固、隔、监”的防护体系。

　　据熊群力介绍，作为功能全面、安全性高的网络安全系统，这套名为三零卫士工业防火墙的新一代国产工业防火墙，采用国际上最先进的网络安全技术，是针对工控网络安全的具体应用环境完全自主开发的安全产品。工控网络安全涉及国家关键基础设施信息系统如电力、轨道交通、石油、水务等的基础网络所面临的安全问题，此前在 2013 年，中国电科已率先研制了两款国内首创、拥有完全自主知识产权、基于专用硬件的工业控制系统信息安全产品。

　　选择

　　发展趋势及需求

　　目前，国内外的下一代防火墙的发展非常迅速，大部分安全厂商都发布了下一代防火墙产品，甚至包括一些在传统防火墙领域里的绝对领导者都在推下一代防火墙。而作为下一代防火墙的首创者 PaloAlto 更是快速的在 Gartner 魔力四象限里成为了企业防火墙市场的领导者。但从国内实际接受程度上看，下一代防火墙想替代传统防火墙还需要进行较多的市场投入。黄海表示，“让客户认识到下一代防火墙是能够给现有的安全管理带来改变是需要时间和金钱的。尤其是，中国市场相对海外可能会更加保守，市场化的完善程度也稍差，这些原因会导致下一代防火墙所蕴含的新理念和新技术在推行方面遇到更多障碍和阻力。”

　　黄海继续谈到，目前，从企业用户的需求来看，不断增长的下一代防火墙需求，反应出的是当前企业用户对高性价比的基础网络安全功能的需求。随着安全技术的进步和黑客文化的流行在不断的演变，十年前说到基础网络安全功能，很多企业客户想到的就是传统防火墙，能够划分安全域，能进行访问控制就行。但是近几年应用、僵尸网络、蠕虫、木马、APT 攻击的泛滥都在不断的给很多企业客户敲响警钟，企业必须部署 IPS 和内容级安全设备来增加整个网络系统的安全防护和管控能力。但专业的 IPS 设备与传统防火墙设备相比可谓要价不菲，如果真的升级网络安全系统的话，对企业来说，它的资金消耗是非常庞大的。所以这个时候就需要有性价比更为优越的安全设备出现来解决企业客户在资金和安全需求之间的矛盾关系。所以下一代防火墙这个时候出现。

　　标准

　　下一代防火墙是否可以防御针对服务器应用和客户端应用的攻击以及其防御程

　　是否能被规避或逃脱

　　是否稳定和可靠

　　该方案是否能够强化入站和出站的应用策略

　　该方案是否能够强化入站和出站的身份策略

　　其性能如何

　　选择方式

　　即插即用式安装

　　即插即用式配置可以使企业将设备的初始配置自动上传到一台管理服务器。远程位置可以通过传输层安全(TLS)协议连接到这台管理服务器。即插即用可以快捷地为不同地理位置的大型网络实现快速部署和安装，同时又可以减少到设备进行现场访问和人工配置的麻烦。自动化还可以减少出错风险。

　　高效且集中化的故障诊断工具

　　如果企业的防火墙具有高效且集中化的故障诊断工具，故障诊断就未必占用安全团队的大量时间。这种工具应当集成到防火墙中，而不应当在以后进行修补。这种工具还应当拥有企业从一个独立的中央位置就可以控制的多种功能。理想的工具包括大量的远程诊断功能和其它的诊断功能，以及集成化的通信捕捉工具、网络取证分析、会话监视和配置快照等。

　　快捷可靠的远程更新

　　更新是高效的防火墙可以提供的更为轻松且高效的另一种功能。快捷可靠的远程更新特性可以使技术人员在整个网络上实施安全可控的软件更新，并且占用最少的通信量。在一个中央位置管理这种任务可以降低操作成本，使设置时间仅占用几十分钟而不是几个小时或几天。快捷可靠更新还可以降低操作风险，在更新新版本失效后，企业可利用其中的 “反转”功能恢复到以前的版本。此外，企业能够通过快捷可靠更新确定在非正常业务期间(或对网络影响最小的其它任何时间)进行操作的时间，从而实现接近 100%的正常运行时间和可用性。

　　任务自动化

　　任务自动化并不仅仅为网络防火墙的升级带来很大好处。网络防火墙还应当允许管理员自动化任何重复性的占用大量资源和时间的任务，并可确定其时间。这种特性不但对于那些有可能影响到服务的任务来说很有益，而且对于日常报告等活动来说，也很有好处。在任务实现自动化并确定好其时间后，就不再需要什么人工劳动了，而管理员就可以在网络负载与非关键操作之间实现平衡，从而确保高可用性。

　　要素共享和再利用

　　要素共享和再利用可以减少工作量和出错的风险。通过高质量的下一代防火墙，管理员不必每次在需要变更时为个别组件或客户设置配置信息，而是可以重用相同的要素来管理多个客户分组的服务变化。

　　策略验证和分析工具

　　很多下一代防火墙配备了庞大的防火墙规则集，这会使故障诊断任务复杂化，并会带来牺牲性能的不必要负担。这些规则往往是重复的，有时甚至在转换中丢失目标地址。用策略验证和分析工具可以轻松地检查和清除不用的或重复的规则，而不必牺牲安全性。清除冗余的规则可以提高系统性能，增加安全性，简化网络故障诊断的过程，并可以从数据库中清除不必要的数据。

　　基于角色的管理访问控制

　　并非所有管理员都应当享有访问安全组件的同样访问权。基于角色的访问控制可以允许用户根据每个管理员的职责定义多种管理访问的权利。企业应当能够为每个管理员定义一个或多个角色，并限制每个角色适用的组件。防火墙的细节控制选项应当包括对每个要素和要素类型所涉及的管理员特权进行严格的、高度精细的控制，并可以控制读写操作的等级。

　　选择方式

　　选择下一代防火墙的性能

　　当挑选将要部署的下一代防火墙特定性能时，网络和安全团队应该合作。用一个保守的方法来挑选性能是比较适合的，有两个原因。首先，负责网络安全的管理员必须能熟练操作和监控新的性能。其次，许多功能都是单独授权的，需要前期和持续的资金来维持。

　　最直接的方法就是选择一个能提供所有你所希望部署的服务的下一代防火墙平台，但是只购买那些要立即使用的服务的授权。推出一套能紧密匹配目前你所拥有的利基产品的服务，然后慢慢妥善过渡到下一代防火墙。一旦一切都在掌握中，就可以开始考虑部署新的功能之一，直到慢慢达到你期望的最终状态。

　　采购

　　应用识别和控制。任何下一代防火墙最重要的功能就是要能够正确地理解、解码以及分析应用流量来检测已知或未知威胁。绝大部分关键业务应用的策略变化设计的很微妙，用以支持不同类型的功能。防火墙需要能够察觉到这些细微的变化以做出恰当的策略决策。任何高效的下一代防火墙必须支持细颗粒度的应用策略部署及管控，同时，也要能更新至允许设备评估规则和持续应用它们的分析和处理引擎，而无论流量模式怎样随时间变化。

　　协议解析和异常检测。任何下一代防火墙必须要能快速地将协议解析至现有组成部件中去。很多攻击者使用复杂的隧道技术，将指定协议或敏感数据嵌入其他协议中。这样一来，下一代防火墙需要判断出 ICMP、HTTP 以及其他协议类型是真实的还是攻击者人为制造的。

　　用户识别。所有的企业级下一代防火墙产品都应该具备与各类目录资源(比如说 Active Directory 以及现有环境中的相关活动)连接的功能用以进行用户识别。理想情况下，系统应该能将 IP 地址映射到系统名称以及用户登录上去。防火墙上基于角色的策略能用于特殊用户检测。这就使得防火墙能够判断出是否有与协议和应用有关的不寻常的流量出现，即使它追踪的使用模式是基于特定的用户和组的也无妨。此种情形下，对于打算进行采购的企业来说，需要考虑的最重要的一点就是产品对于用户资源库类型的支持。

　　速度和性能。除理解和过滤流量之外，评估 NGFW 的另一项关键的因素就是速度。考虑到对于任何下一代防火墙设备来说，数据包的处理和分析都非常密集，因而流量延迟是一个主要的关注点。很多厂家鼓吹其产品可以保持 10 Gbps 或更快的速度，不过在决定购买之前企业还是要进行彻底地检测以得出实际的速度。

　　优异的特性

　　URL 过滤。一些防火墙可以执行基于 URL 的内容过滤以及站点信誉分析。尽管不如单独的内容过滤产品(比如来自 Websense、BlueCoat 或其他厂商的产品)那样强大、特征明显，但 URL 过滤能将应用及流量分析方面的功能添加至已经运行的入侵检测过程中。

　　SSL 终止和检验。攻击者非常聪明，他们制作恶意软件和攻击套件，使用像 SSL 之类的加密通道来运送敏感数据和机器命令。一些组织可能会认为这应该是下一代防火墙的一项必备功能，不过很多企业还没有准备好对 SSL 进行监管或者因为某些与隐私相关的原因无法做到。

　　恶意软件虚拟沙盒。一些更新的下一代防火墙产品已经开始将恶意软件沙盒和分析集成在产品中，这将有益于检测出更为高级的恶意软件感染。　　此外，也可以将易于使用和部署、与现有环境中的工具和技术集成以及可以默认设备的用户登录等特性考虑在内。